会社でGitHubを使うとなぜ危ないのか - orangeitems’s diary

はじめに 7PayにおけるGitHubソースコード漏洩（の可能性）の件、できるだけわかりやすく、何が起こったかを説明してみたいと思います。一般の人にはなかなかわかりにくいと思いますので。 この件そのものの顛末は、下記の記事をごらんください。 www.businessinsider.jp 7payにも関連する、ECアプリ｢オムニ7｣の設計図にあたるソースコードが漏洩していた可能性がある。オムニ7アプリはセブン-イレブンアプリとは別アプリだが、ログインまわりの設計は非常に似通っているとみる専門家もいる。 事実であれば、アプリ開発の管理体制、アプリ自体やサービスのセキュリティーに関するリスクの有無についても、一層の警戒が必要になる可能性がある。 説明してみる GitHubっていうのはインターネット上のWEBサービスです。 GitHubには、ファイルをアップロードできます。GitHubはバージョン

[poponponpon]

❌️会社で使うと危ない ⭕️馬鹿が使うと危ない

[NOV1975]

SIerでも普通に使うわ。というか、こんな話他では聞いたこともないわ。仕事が杜撰なら何を使ってようが危ないよ。

[mimikakix]

こんなんがインフラエンジニア名乗ってるのは笑うわw知識不足もそうだが、そもそも論理がおかしいことに気づいていないことが致命的。間違いだらけすぎて100文字じゃ伝えきれないんで同僚に見てもらったほうが良いよ

[meganeya3]

gitをセキュアに使わせるのもインフラ屋の仕事なのでは……

[yoiIT]

なんでもオンプレおじさんっているよね

[rotom]

GitHub 関係なく、シャドーIT やめろって話

[daishi_n]

前の会社ではAWS上でRedmine+Git環境をプロジェクトごとにEC2立てて提供してアクセス元IPアドレス制限して使わせてた。

[pullphone]

前時代的過ぎる、吉本興業かよ

[masakih]

素人に講習なしでチェーンソー使わせると危険なのでプロからチェーンソーを奪い取る話

[sudow]

台所で包丁を使うとなぜ危ないのか

[EngineerYtr]

機能を正しく理解して適切に運用すれば問題ないのにね。使う側の問題。

[kerokerohokuto]

インフラエンジニア

[muddydixon]

IT部門が切断したときに、各プロダクトのライブラリが落とせなくなって阿鼻叫喚になったことを思い出した

[spiral]

アホか。あと、下請けに対するガバナンスの問題でもある。GitHub が危ないのではなく、相変わらず発注者が危ないという話だ。

[and_hyphen]

タイトルが良くないよね。中身はそこまでおかしくないと思うけど。最近は猫も杓子もGitHubみたいなところはあるから管理をしっかりしないとあかんというのはある。しかしGitHubに限らんし。

[marshi]

個人で使う意味はバックアップとかPC変えても使えるとか転職に役立つとか業界への貢献とか活動記録とか承認欲求とかがありますね

[cruller]

ほんとに関係ないんだけど、個人開発でGitHub使う意味ってなに？

[tanabebe]

これも合わせてみて欲しい。 https://qiita.com/saitotak/items/813ac6c2057ac64d5fef

[Soraneko]

悪意のある人が使えばどこでも同じ話。

[rti7743]

オンプレは理想だけど、運用コストかかりすぎて旨みはなさそう。究極のオンプレはネットも断って、クリーンルーム開発するなんだろうが、今日では現実的じゃないと同じで。

[yatta47]

知識の問題だと思って読み始めたら斜め45度の記事だった。

[sigeharucom]

社員はeメールだけ使える、常駐してる人はイントラの社内メールだけ使える。フロアに一台だけネットに繋がってるPCがあって使うときは記帳、ってメーカー子会社に常駐してた。ADSLも無い頃だけど。

[ya--mada]

アカ付きで使うならエンプラで組織アカ管理せいやと、プロキシの監査入れろやと、CASB使えやと。吉本と同じやで、コンプラとガバナンスやで。嫌なら代行業とかヤメーヤと。

[hatebnewone]

京アニも github など分散型バージョン管理システムを使っていたら、人命をのぞいて被害はなかった。

[versatile]

丁寧な釣り記事

[hate1229]

次回 会社でインターネットを使うとなぜ危ないのか

[snipesnaps]

タイトル以外読めないエンジニアが、「自分はgit使いこなしてるゾ〜」と言いたいだけのことで他人をめったくそに叩く様が見られると思ってワクワクしながらブコメ開いたら期待通り。

[astap]

雲の上で働いてんのかな、吹いた“クラウドではたらくインフラエンジニア”

[sue445]

会社でGitHub使うのが問題なのではなくバカや悪意のある人間が使えば何使っても危ないのでは

[attakei]

「このように...危険です」どのように？？？？／あと、(ほぼ一方的に)利用者側の問題でしか無い状況において、GitHub側の運営体制の話まで煽るのは盛り過ぎな気がする

[namelaw]

オンプレでCVSでも使ってろ

[fn7]

何を言ってるんだ

[u4k]

本文はそんな変なこと書いてないと思うけど。この人よりもタイトル読んだだけでマサカリ投げてるブコメの人の方が危ないと思う。これっぽっち長さの本文も読めないってことでしょ？

[stk132]

リテラシーやモラルの無い人を現場に入れる事自体がリスクなので、高いお賃金でまともな人を集めてください。(以前社内SVNで管理しているリポジトリを個人のgithubリポジトリにプッシュしたバカがいました

[pixmap]

この人はGitHubはもちろん、会社でコンピュータを使わない方がいいと思う。

[daichirata]

言うほど変な事書いてないと思うけどタイトルだけ読んで本文読んでない人って結構多いのか/なぜ危ないじゃなくてどんなリスクがあるのかとかのほうがタイトルとして良かったのかな

[proverb]

ignoreしている.envをわざわざ個人用のdotfilesリポジトリにアップロードして情報漏えいするお馬鹿エンジニアも稀に居るから教育大事

[miragestlike]

表題が強すぎるだけで、そこまでマサカリ投げるほどのものではなくない？理屈は破綻していないと思うんだけれど。

[fjwr38]

いかがでしたか？が無いな

[hevohevo]

プライベートリポジトリ機能が有料版限定だった時代に料金の支払いが滞ったらそのリポジトリがどういう挙動になっていたのか気になる。ダウンロードオンリー？まさかパブリック状態にはならないよね？